Definition DORA | Digital Operational Resilience Act Was ist der Digital Operational Resilience Act (DORA)?

Anbieter zum Thema

FTAPI Software GmbH

valvisio international AG

Der Digital Operational Resilience Act ist eine am 16.01.2023 in Kraft getretene EU-Verordnung. Sie soll die digitale operative Widerstandsfähigkeit von EU-Finanzunternehmen und ihren IKT-Drittdienstleistern verbessern und einen EU-weit einheitlichen Aufsichtsrahmen schaffen. Von der Verordnung betroffene Unternehmen und Organisationen haben die Vorgaben binnen einer Frist von 24 Monaten umzusetzen und zu erfüllen.

DORA ist das Akronym für Digital Operational Resilience Act. Es handelt sich um eine am 27.12.2022 im Amtsblatt der EU veröffentlichte Verordnung (EU-Verordnung 2022/2254). Die Langbezeichnung der Verordnung lautet "Digital operational resilience for the financial sector and amending regulations". Im Deutschen bedeutet DORA "Verordnung über die digitale operative Resilienz im Finanzsektor". Die Verordnung ist als verbindlicher und unmittelbar wirkender Rechtsakt am 16.1.2023 in der EU Kraft getreten, ohne dass sie weitere Umsetzungen nationaler Rechtsvorschriften benötigt. Ziel von DORA ist es, die digitale operative Widerstandsfähigkeit von EU-Finanzunternehmen und ihren IKT-Drittdienstleistern zu verbessern und einen EU-weit einheitlichen Aufsichtsrahmen zu schaffen. Die Anfälligkeit für Cyberbedrohungen und IKT-Störungen soll über die gesamte Wertschöpfungskette des Finanzsektors reduziert werden. Von der Verordnung betroffene Unternehmen, Behörden und Organisationen haben bis zum 17.1.2025 Zeit, die Vorgaben umzusetzen und zu erfüllen.

Ziele von DORA

Wichtigstes Ziel von DORA ist es, die digitale operative Widerstandsfähigkeit der Unternehmen des europäischen Finanzsektors inklusive der IKT-Drittdienstleister zur stärken. Entlang der kompletten Wertschöpfungskette des Finanzsektors soll die Anfälligkeit für IKT-Störungen und Cyberbedrohungen reduziert werden. Darüber hinaus ist es Ziel der Verordnung, nationale Vorschriften für die IKT-Sicherheit im Finanzsektor EU-weit zu harmonisieren und einen einheitlichen Aufsichts- und Rechtsrahmen zu schaffen. Der Digital Operational Resilience Act soll sicherstellen, dass Finanzunternehmen, -behörden und -organisationen sowie ihre IKT-Dienstleister auf Bedrohungen und Störungen der IKT angemessen reagieren und negative Auswirkungen minimiert werden.

Inhalt des Digital Operational Resilience Acts

Der Digital Operational Resilience Act umfasst 79 Seiten. DORA greift Anforderungen bestehender Verordnungen zum Beispiel auch nationaler wie der BaFin oder des BSI auf, konkretisiert sie und ergänzt sie um neue Elemente. Im Wesentlichen lassen sich die Anforderungen des Digital Operational Resilience Acts in diese fünf Themengebiete unterteilen:

• Etablierung eines Rahmenwerks für das IKT-Risikomanagement

• Behandlung, Klassifizierung und Berichterstattung von IKT-Vorfällen

• Testen der operativen Widerstandsfähigkeit (Resilience)

• Management des IKT-Drittparteienrisikos

• Schaffung eines Überwachungsrahmens für kritische IKT-Drittdienstleister

Das IKT-Risikomanagement wird mit DORA auf rechtlicher Ebene verankert und ist nicht mehr nur in Verwaltungsvorschriften geregelt. Die Gesamtverantwortung für das Risikomanagement trägt grundsätzlich die Geschäftsleitung des Finanzunternehmens. DORA verpflichtet die Unternehmen, die IKT-Systeme kontinuierlich zu überwachen, zu kontrollieren und auf dem aktuellen Stand zu halten. Es müssen Strategien für die Datensicherung und Wiederherstellungsverfahren definiert und eingerichtet sein. Die Risikodokumente müssen zu internen und externen Prüfung schriftlich vorliegen. Darüber hinaus beschreibt DORA Verfahren zur Klassifizierung von IKT-Vorfällen. Schwerwiegende Vorfälle sind den zuständigen Aufsichtsbehörden zu melden. Dora verpflichtet zudem zur Feststellung und Überprüfung der IT-Sicherheit mittels geeigneter Tests. Systemrelevante Institute haben bezüglich dieser Prüfung höhere Anforderungen zu erfüllen. Ein weiterer wesentlicher Inhalt von DORA ist das Risikomanagement von IKT-Drittdienstleistern. Finanzunternehmen sind verpflichtet, im Rahmen des Risikomanagements auch IKT-Dienstleister zu betrachten. Beispielsweise legt DORA Bestimmungen für Outsourcing- und Dienstleisterverträge hinsichtlich der Überwachungsrechte, Kündigungsrechte und Ausstiegsstrategien fest. Der Digital Operational Resilience Act schafft insbesondere auch einen Überwachungsrahmen für kritische IKT-Drittdienstleister des Finanzsektors mit weitgehenden und detaillierten Befugnissen bei der Überwachung solcher Drittanbieter.

Von DORA betroffene Unternehmen und Organisationen

Vom Digital Operational Resilience Act betroffen sind unter anderem:

• Finanzunternehmen wie Kreditinstitute, Zahlungsdienstleister, Wertpapierfirmen, E-Geld-Institute, Kontoinformationsdienstleister

• Handelsplätze und Datenbereitstellungsdienste

• Versicherungs- und Rückversicherungsunternehmen

• Anbieter von Kryptodienstleistungen

• Transaktions- und Verbriefungsregister

• Ratingagenturen

• Zentralverwahrer

• IKT-Drittdienstleister inklusive Anbieter von Cloud-Computing-Services, Software oder Datenanalyseservices

DORA bietet auf nationaler Ebene die Möglichkeit, für bestimmte Bereiche Ausnahmen des Geltungsbereich zu definieren, beispielsweise im Bereich der Förderinstitute.

(ID:49530965)